Publikation von Christoph Puppe
Experiment: KI entwickelt ISMS-Standard weiter
KI als Hilfsmittel bei Securityaudits ist etabliert; dieses Experiment fragt, ob ein Sprachmodell einen Sicherheitsstandard auch weiterentwickeln kann. In sechs Wochen entstand eine komplette Compliance-as-Code-Pipeline: rund 8.000 Zeilen Python, 4.000 Zeilen JSON-Schemas und etwa 50 verfeinerte Prompts, per Vibe Coding mit Gemini 2.5 Pro als Arbeitspferd; Gesamtkosten rund 1.700 Euro auf der Google Cloud Platform. Das erste Experiment überführte das Grundschutz-Kompendium aus PDF ins maschinenlesbare OSCAL-Format des NIST, als Nebeneffekt fielen Übersetzungen in 14 Sprachen ab. Das zweite generierte Entwürfe für fehlende Bausteine, etwa zu KI-Systemen, CI/CD-Pipelines und Cloud-IAM, die Experten als Version 0.8 dienen können. Das dritte, der BSI Audit Automator, automatisierte das Dokumenten-Review eines echten Überwachungsaudits: Statt zehn Personentagen dauert der Durchlauf zwei Stunden, plus Qualitätssicherung von bis zu einem Viertel des ursprünglichen Aufwands, denn das Modell verwechselte regelmäßig die Nummern der Anforderungen. Der eigentliche Gewinn liegt in der Prüftiefe: Die Maschine prüft alle Dokumente gegen alle Prüffragen, der Auditor wird vom Dokumentenprüfer zum Risiko- und Strategieberater. Zwei Lektionen bleiben: Der Wert liegt in der Bibliothek domänenspezifischer Prompts, und sensible Auditdaten gehören unter keinen Umständen in öffentliche Chatbots. Code und Werkzeuge stehen unter der Business Source License zum Download bereit.